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STAATSCOURANT 

Officiële uitgave van het Koninkrijk der Nederlanden sinds 1814. 


Autoriteit Persoonsgegevens 


Gelet op artikel 56, derde lid, van de Wet bescherming persoonsgegevens; 

Besluit: 

HOOFDSTUK 1. BEGRIPSBEPALINGEN 

Artikel 1 

In dit bestuursreglement wordt verstaan onder: 

a. de wet: de Wet bescherming persoonsgegevens (Wbp); 

b. Autoriteit Persoonsgegevens: het college van het College bescherming persoonsgegevens zoals 

ingesteld op grond van artikel 51 van de Wet bescherming persoonsgegevens; 

c. het collegelid: lid van de Autoriteit Persoonsgegevens; 

d. de voorzitter: collegelid, tevens voorzitter van de Autoriteit Persoonsgegevens; 

e. de directeur: degene die is belast met de dagelijkse leiding van het secretariaat van de Autoriteit 

Persoonsgegevens; 

f. de raad: de Raad van advies als bedoeld in artikel 54, vierde lid, van de Wbp; 

g. de minister: de Minister van Veiligheid en Justitie; 

h. het ministerie: het ministerie van Veiligheid en Justitie. 

HOOFDSTUK 2. INRICHTING EN BESLUITVORMING 

Artikel 2 

1. De Autoriteit Persoonsgegevens vervult de taken die hem bij wet en ingevolge verdrag zijn 
opgedragen. 

2. De Autoriteit Persoonsgegevens verricht de werkzaamheden die noodzakelijk zijn om de in het 
eerste lid bedoelde taken naar behoren te kunnen vervullen. 

Artikel 3 

1. De Autoriteit Persoonsgegevens bestaat uit een voorzitter en ten hoogste twee andere leden. 

2. De voorzitter benoemt één van de collegeleden als vicevoorzitter. Deze benoeming wordt 
vastgelegd in een benoemingsbesluit. 

3. De voorzitter wordt bij zijn afwezigheid of ontstentenis vervangen door de vicevoorzitter. Hetgeen 
in dit reglement omtrent de voorzitter is bepaald, is mede van toepassing op de vicevoorzitter 
wanneer deze de voorzitter vervangt. 

4. De verdeling van de taken tussen de voorzitter, de andere collegeleden en buitengewone leden 
wordt op de website van de Autoriteit Persoonsgegevens bekendgemaakt. 

Artikel 4 

1. De voorzitter geeft leiding aan de werkzaamheden van de Autoriteit Persoonsgegevens en 
bevordert daarbij een goede afstemming. 

2. De Autoriteit Persoonsgegevens wordt in andere aangelegenheden dan bedoeld in artikel 5 
vertegenwoordigd door de voorzitter. 

3. De Autoriteit Persoonsgegevens stelt een regeling vast waarin wordt bepaald door wie de 
voorzitter, onderscheidenlijk elk van de andere collegeleden en de buitengewone leden, bij 
afwezigheid of ontstentenis worden vervangen en maakt deze vervangingsregeling op de website 
van de Autoriteit Persoonsgegevens bekend. 

Artikel 5 

De Autoriteit Persoonsgegevens stelt een mandaat- en machtigingsregeling vast. 
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Artikel 6 



1. De Autoriteit Persoonsgegevens stelt de hoofdlijnen van de organisatie van het secretariaat vast. 

De Autoriteit Persoonsgegevens geeft daar op haar website bekendheid aan. 

2. De directeur is belast met de zorg voor een doelmatige en doeltreffende bedrijfsvoering en neemt 
daarbij de aanwijzingen van de Autoriteit Persoonsgegevens in acht. 

3. De directeur, legt over de uitvoering van zijn taak verantwoording af aan de voorzitter. 

Artikel 7 

1. De Autoriteit Persoonsgegevens vergadert zo vaak als nodig is voor een goede afwikkeling van zijn 
werkzaamheden, doch in beginsel eenmaal per week. 

2. De vergadering is niet openbaar. 

3. Tot de vergadering hebben toegang de voorzitter, de andere collegeleden, de directeur en zij die 
zijn uitgenodigd. 

4. De directeur heeft in deze vergadering een adviserende stem. 

Artikel 8 

1. De voorzitter bepaalt de tijd en de plaats van een vergadering. De agenda van een vergadering 
wordt op voorstel van de voorzitter vastgesteld door de collegeleden. 

2. De voorstellen en adviezen die aan de vergadering worden voorgelegd, worden voorbereid door of 
onder verantwoordelijkheid van de collegeleden of de directeur. 

3. De directeur ziet toe op een juiste uitvoering van de besluiten van de Autoriteit Persoonsgegevens 
en draagt zorg voor een periodieke rapportage daarover aan de Autoriteit Persoonsgegevens. 

Artikel 9 

1. Een collegelid dat verhinderd is een vergadering bij te wonen, doet hiervan zo spoedig mogelijk 
mededeling aan de voorzitter. 

2. Als de voorzitter verhinderd is, doet hij hiervan zo spoedig mogelijk mededeling aan de vicevoor- 
zitter. 

3. Een ander collegelid kan zo nodig worden vervangen door een buitengewoon lid. 

Artikel 10 

1. leder collegelid heeft één stem. 

2. De Autoriteit Persoonsgegevens neemt besluiten bij meerderheid van stemmen. 

3. Een besluit is in beginsel geldig indien tenminste twee leden aan de stemming hebben deelgeno¬ 
men, tenzij de omstandigheden van het geval aanleiding geven aan één van de leden om niet deel 
te nemen aan de besluitvorming. Indien van dergelijke omstandigheden sprake is, wordt dit 
vermeld in het verslag. 

4. Een collegelid stemt zonder last of ruggespraak. 

5. Bij het staken van de stemmen wordt de besluitvorming aangehouden tot de volgende vergade¬ 
ring, tenzij de besluitvorming niet kan worden uitgesteld. De voorzitter heeft uiteindelijk een 
beslissende stem. 

6. In spoedeisende gevallen dan wel in andere door de collegeleden bij eenstemmigheid te bepalen 
gevallen, kan de vergadering schriftelijk geschieden. De wijze van besluitvorming wordt alsdan 
met de genomen beslissing in het verslag vastgesteld. 
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Artikel 11 



1. De Autoriteit Persoonsgegevens kan commissies instellen ter voorbereiding van de besluitvorming 
over een bepaalde aangelegenheid. 

2. De Autoriteit Persoonsgegevens bepaalt de taak en samenstelling van een commissie en kan 
voorzieningen treffen over de werkwijze van een commissie. 

Artikel 12 

1. De directeur is verantwoordelijk voor het opstellen van een verslag van het verhandelde in de 
vergadering. Het verslag bevat ten minste: 

a. een opgave van de aanwezige personen; 

b. een vermelding van de behandelde aangelegenheden; 

c. zo nodig een voor goed begrip van hetgeen is besloten noodzakelijke, korte weergave van de 
gevoerde discussie; 

d. een lijst van de genomen besluiten en actiepunten. 

2. Een collegelid dat zich niet kan verenigen met een genomen besluit, kan daarvan een met redenen 
omklede aantekening in het verslag doen opnemen. 

3. Het verslag wordt binnen vijf dagen na de vergadering aan de collegeleden verzonden. Het wordt 
de eerstvolgende vergadering na verzending, al dan niet gewijzigd, vastgesteld door de bestuurs¬ 
voorzitter. 

Artikel 13 

1. De voorzitter en de andere collegeleden onthouden zich van alles wat een goede taakvervulling 
van de Autoriteit Persoonsgegevens kan schaden. 

2. Als een buitengewoon lid in een omstandigheid verkeert die een goede taakvervulling van de 
Autoriteit Persoonsgegevens kan schaden, doet het daarvan onverwijld mededeling aan de 
voorzitter. 

3. De nevenfuncties van de voorzitter en de andere collegeleden worden op de website van de 
Autoriteit Persoonsgegevens bekend gemaakt. 

Artikel 14 

1. De voorzitter en de andere collegeleden nemen omtrent alle informatie en documenten die zij in 
het kader van hun functie verkrijgen en die als vertrouwelijk is aangemerkt, dan wel waarvan de 
vertrouwelijkheid uit de aard van de informatie voortvloeit, strikte geheimhouding, als bedoeld in 
artikel 2:5 van de Algemene wet bestuursrecht, in acht, ook na beëindiging van hun functie. 

2. Het eerste lid is van overeenkomstige toepassing op diegenen die belast zijn met de administra¬ 
tieve en secretariële ondersteuning van de Autoriteit Persoonsgegevens en op diegenen die 
vergaderingen geheel of gedeeltelijk hebben bijgewoond. 

Artikel 15 

1. De Autoriteit Persoonsgegevens kan nadere voorzieningen treffen met betrekking tot zijn werking, 
indien een goede afwikkeling van de werkzaamheden dat nodig maakt. 

2. In alle gevallen, niet voorzien in dit reglement of een besluit als bedoeld in het eerste lid, beslist de 
voorzitter. 

3. Indien de aard van de betrokken aangelegenheid dat met zich meebrengt, bevordert de voorzitter 
een wijziging van dit reglement. 
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HOOFDSTUK 3. WERKWIJZEN EN PROCEDURES 



Paragraaf 3.1. Beleidsplan 

Artikel 16 

1. De Autoriteit Persoonsgegevens stelt jaarlijks vóór 1 december een beleidsplan vast voor de vier 
daarop volgende jaren. 

2. Het beleidsplan omvat de beoogde activiteiten voor het volgende jaar en de strategische keuzes 
voor de drie daarop volgende jaren. 

3. Bij de beoogde activiteiten voor het volgende jaar gaat de Autoriteit Persoonsgegevens uit van de 
begroting voor het desbetreffende jaar en het te verwachten budget. 

4. Het beleidsplan wordt door de Autoriteit Persoonsgegevens vastgesteld, waar nodig met 
inachtneming van de opmerkingen van de raad. 

Paragraaf 3.2. Werkprocessen 

Artikel 17 

1. De Autoriteit Persoonsgegevens stelt een beschrijving vast van werkwijzen en procedures in het 
kader van de uitvoering van de taken en werkzaamheden als bedoeld in artikel 2. 

2. De beschrijving onderscheidt de taken en werkzaamheden naar type, aard en complexiteit, en 
geeft aan welke stappen, in de onderscheiden situaties, bij de uitvoering van die taken en 
werkzaamheden dienen te worden gevolgd, en welke aandachtspunten daarbij telkens ten minste 
in aanmerking dienen te worden genomen. 

3. De beschrijving is gericht op het bevorderen van een goede en zorgvuldige uitoefening van de 
betrokken taken en werkzaamheden, en voorziet in waarborgen tegen vermenging van de 
toezichthoudende, adviserende en sanctionerende taken van de Autoriteit Persoonsgegevens. 

4. De werkzaamheden in het kader van de toezichthoudende en sanctionerende taken van de 
Autoriteit Persoonsgegevens worden zoveel mogelijk verricht door ambtenaren van het secretari¬ 
aat die niet betrokken zijn geweest bij voorlichtende en adviserende taken op hetzelfde terrein. 

Artikel 18 

De uitgangspunten en beleidsregels die worden gehanteerd bij de uitvoering van de taken en 

werkzaamheden als bedoeld in artikel 2 worden in de Staatscourant en op de website van de Autoriteit 

Persoonsgegevens bekend gemaakt. 

Paragraaf 3.3. Jaarverslag 

Artikel 19 

1. De Autoriteit Persoonsgegevens stelt na afloop van ieder kalenderjaar een jaarverslag op met een 
overzicht van de werkzaamheden in dat kalenderjaar. 

2. De Autoriteit Persoonsgegevens legt in het jaarverslag verantwoording af over de taakuitoefening, 
het gevoerde beleid, zoals vastgesteld in het beleidsplan en het gevoerde beleid met betrekking tot 
de kwaliteitszorg en geeft inzicht in hetgeen in het betrokken kalenderjaar tot uitvoering is 
gebracht ten aanzien van de eisen omtrent de zorgplicht ingevolge artikel 19 van de Kaderwet 
zelfstandige bestuursorganen. 

3. De Autoriteit Persoonsgegevens geeft in het jaarverslag ook een beknopt overzicht van de 
beoogde resultaten in het lopende kalenderjaar. 

Artikel 20 

1. Het jaarverslag wordt vóór 15 maart opgesteld en nadien aangeboden aan de minister, beide 
kamers van de Staten-Generaal en de raad. 

2. Het jaarverslag wordt overeenkomstig artikel 58 van de Wbp toegezonden aan de functionarissen 
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voor de gegevensbescherming als bedoeld in artikel 62 van de wet, alsmede aan personen of 
instanties die op een andere wijze nauw betrokken zijn geweest bij de toepassing van de wet. 



3. Het jaarverslag wordt voor een ieder beschikbaar gesteld op de website van de Autoriteit 
Persoonsgegevens en is tegen betaling in druk verkrijgbaar. 

HOOFDSTUK 4. RAAD VAN ADVIES 

Artikel 21 

1. De raad heeft tot taak de Autoriteit Persoonsgegevens te adviseren over de hoofdlijnen van het 
beleid en andere algemene aspecten van de bescherming van persoonsgegevens. 

2. De Autoriteit Persoonsgegevens stelt de raad in de gelegenheid om de nodige opmerkingen te 
maken over de inhoud van een ontwerp-beleidsplan en het uitgebracht jaarverslag. 

Artikel 22 

1. De raad vergadert tenminste tweemaal per jaar, te weten in het voorjaar en in het najaar en voorts 
zo vaak als nodig is. 

2. De raad kiest uit haar midden een voorzitter die leiding geeft aan de vergaderingen en bevordert 
dat alle leden van de raad voldoende ruimte krijgen om blijk te geven van hun opvattingen. 

3. De collegeleden en de buitengewone leden, de directeur en andere genodigden kunnen de 
vergaderingen van de raad bijwonen en aan de gedachtewisseling deelnemen. 

4. De Autoriteit Persoonsgegevens draagt zorg voor een goede verslaglegging van de vergaderingen 
van de raad 

5. De vergaderingen van de raad zijn niet openbaar. 

Artikel 23 

1. De leden van de raad kunnen door de Autoriteit Persoonsgegevens betrokken worden bij andere 
belangrijke aangelegenheden op het terrein van hun ervaring of belangstelling. 

2. De leden van de raad stellen de Autoriteit Persoonsgegevens in kennis van alles wat zij van belang 
achten voor een goede uitvoering van de taken van de Autoriteit Persoonsgegevens. 

3. De Autoriteit Persoonsgegevens verstrekt de leden van de raad alle inlichtingen die zij voor de 
uitoefening van haar taak behoeven. 

Artikel 24 

1. De leden van de raad onthouden zich van alles wat een goede taakvervulling van de raad kan 
schaden. 

2. De artikelen 2:4 en 2:5 van de Algemene wet bestuursrecht zijn op de werkzaamheden van de raad 
van overeenkomstige toepassing. 

HOOFDSTUK 5. BEHEER EN ORGANISATIE 

Paragraaf 5. 7 . Algemene bepalingen 

Artikel 25 

1. De binnen het kader van de Comptabiliteitswet door of namens de minister vastgestelde nadere 
regels en uitgangspunten voor het beheer en de organisatie van zijn ministerie zijn van toepassing 
op de Autoriteit Persoonsgegevens, tenzij uit de aard daarvan anders voortvloeit. 

2. Deze regels en uitgangspunten hebben betrekking op: 

a. financieel beheer; 

b. personeel en formatiebeheer; 

c. huisvesting en materieel; 

d. documentatie en archiefbeheer; 
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e. informatievoorziening en automatisering; 

f. beveiliging. 



3. De door of namens de minister vastgestelde bijzondere aanwijzingen met betrekking tot het 
financieel beheer en het personeel- en formatiebeheer van de Autoriteit Persoonsgegevens zijn 
vastgelegd in de Mandaatregeling beheer. 

4. De Autoriteit Persoonsgegevens kan op bepaalde punten nadere voorzieningen treffen, indien een 
goede taakvervulling van de Autoriteit Persoonsgegevens dat naar zijn oordeel nodig maakt. 

Artikel 26 

1. De minister is verantwoordelijk voor de financiering van de Autoriteit Persoonsgegevens en 
bepaalt de kaders waarbinnen de bedrijfsvoering van de Autoriteit Persoonsgegevens dient plaats 
te vinden. 

2. De minister kan beslissen dat aan inspanningen op een specifiek onderdeel van de bedrijfsvoering 
expliciet aandacht wordt besteed. 

3. De verantwoordelijkheid van de Autoriteit Persoonsgegevens voor een juiste taakvervulling blijft 
onverlet. 

Paragraaf 5.2. Begroting en bestedingsplan 

Artikel 27 

1. De Autoriteit Persoonsgegevens stelt jaarlijks vóór 1 augustus een begroting op met een schatting 
van de inkomsten en de kosten van het te voeren beleid in de drie jaren die volgen op het 
eerstvolgende. De begrotingsposten worden ieder afzonderlijk van een toelichting voorzien. Uit de 
toelichting blijkt steeds welke begrotingsposten betrekking hebben op de uitoefening van de bij of 
krachtens de wet aan de Autoriteit Persoonsgegevens opgedragen taken dan wel op andere 
activiteiten. Tenzij de activiteiten waarop de begroting betrekking heeft nog niet eerder werden 
verricht, behels de begroting een vergelijking met de begroting van het lopende jaar en de laatst 
goedgekeurde jaarrekening; 

2. Bij het opstellen van de begroting wordt rekening gehouden met de strategische keuzes van de 
Autoriteit Persoonsgegevens vervat in het beleidsplan dat in het voorafgaande jaar is vastgesteld. 

3. In de begroting worden in ieder geval de benodigde personele en materiële middelen aangegeven, 
alsmede de personele en materiële middelen die vanuit de meerjarenkaders van het ministerie 
beschikbaar zijn. 

4. De middelen die nodig zijn voor activiteiten als bedoeld in artikel 24, tweede lid, worden als 
zodanig herkenbaar in de begroting opgenomen. 

5. Na vaststelling van de begroting wordt deze ter goedkeuring aan de minister gezonden. 

Artikel 28 

1. De Autoriteit Persoonsgegevens stelt jaarlijks vóór 1 augustus, op basis van het te verwachten 
budget, een bestedingsplan op met de omvang van de uitgaven voor het eerstvolgende jaar. 

2. Na vaststelling van het bestedingsplan wordt dit ter goedkeuring aan de minister gezonden. 

Artikel 29 

1. Door of namens de minister en de Autoriteit Persoonsgegevens wordt jaarlijks vóór 1 oktober 
overleg gevoerd over de begroting en het bestedingsplan. 

2. In dit overleg komen tevens aan de orde: 

a. nadere managementafspraken voor het eerstvolgende jaar; 

b. nadere begrotingsafspraken voor de drie jaren die volgen op het eerstvolgende; 

c. andere onderwerpen die door of namens de minister of de Autoriteit Persoonsgegevens zijn 
ingebracht en tijdig aan de deelnemers aan het overleg zijn bekend gemaakt. 
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Artikel 30 



1. De minister stelt de budgetten voor een bepaald jaar telkens vóór 1 december van het vooraf¬ 
gaande jaar beschikbaar. 

2. De minister informeert de Autoriteit Persoonsgegevens jaarlijks vóór 1 mei hoe het budget voor 
het komende jaar en het meerjarig kader zijn opgenomen in de begroting van het departement. 

Paragraaf 5.3. Verantwoording 

Artikel 31 

1. De directeur draagt zorg dat binnen drie weken na iedere maand een maandrapportage wordt 
opgesteld en besproken met het verantwoordelijke management binnen het secretariaat. 

2. De maandrapportage geeft inzicht in: 

a. de realisatie van de productie en de uitgaven over de periode vanaf 1 januari van het lopende 
jaar tot en met de desbetreffende maand; 

b. een prognose van de productie en de uitgaven voor de resterende maanden van het lopende 
jaar. 

3. In de maand volgend op elk kwartaal wordt deze rapportage tevens aan de orde gesteld tijdens het 
overleg van de Autoriteit Persoonsgegevens. 

Artikel 32 

1. De directeur draagt zorg dat zo spoedig mogelijk na afloop van het eerste halfjaar een halfjaarrap- 
port wordt opgesteld, waarin overeenkomstig een vast informatiemodel wordt gerapporteerd over: 

a. productiegegevens; 

b. financiën; 

c. kwaliteit en effectiviteit; 

d. beleidsprioriteiten. 

2. De halfjaarrapportage wordt door de Autoriteit Persoonsgegevens vastgesteld en binnen 30 dagen 
na afloop van de betrokken periode aangeboden aan de minister. 

3. De minister stelt de Autoriteit Persoonsgegevens binnen 30 dagen na ontvangst van de halfjaar¬ 
rapportage op de hoogte van diens reactie. 

4. Door of namens de minister en de Autoriteit Persoonsgegevens wordt vóór 1 september van het 
betrokken jaaroverleg gevoerd over de halfjaarrapportage. 

Artikel 33 

1. De directeur draagt zorg dat na afloop van elk jaar een financiële verantwoording wordt opgesteld 
over dat jaar. 

2. In deze rapportage dient te zijn opgenomen: 

a. een verklaring voor het verschil tussen de geraamde en werkelijke uitgaven en inkomsten; 

b. een verantwoording van de geproduceerde resultaten; 

c. een verantwoording over het formatiebeheer en het personeelsbeleid. 

3. De verantwoordingsrapportage over het afgelopen jaar wordt door de Autoriteit Persoonsgege¬ 
vens vastgesteld en jaarlijks vóór 15 februari aangeboden aan de minister. 

4. De minister stelt de Autoriteit Persoonsgegevens binnen 30 dagen na ontvangst van de rapportage 
op de hoogte van diens reactie. 

Artikel 34 

De minister verleent jaarlijks décharge over het door de Autoriteit Persoonsgegevens gevoerde beheer 
op basis van de verantwoordingsrapportage. 

Artikel 35 

1. Indien de minister tot de conclusie komt dat de Autoriteit Persoonsgegevens de bepalingen van dit 
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hoofdstuk, een bestedingsplan, of een afspraak als bedoeld in artikel 27, tweede lid, onder a, niet 
nakomt, kan hij de Autoriteit Persoonsgegevens verzoeken om een toelichting op de tekortkoming 
en de maatregelen die de Autoriteit Persoonsgegevens naar aanleiding daarvan denkt te nemen. 

Indien de minister de beoogde maatregelen ontoereikend acht, kan hij daaraan gevolgen verbin¬ 
den bij de toekenning van de budgetten voor een volgend jaar, dan wel een specifieke aanwijzing 
geven met betrekking tot het beheer of de organisatie van de Autoriteit Persoonsgegevens of van 
het secretariaat. 

De Autoriteit Persoonsgegevens draagt zorg dat een aanwijzing als bedoeld in het tweede lid 
wordt uitgevoerd. 

HOOFDSTUK 6. SLOTBEPALINGEN 

Artikel 36 

Dit reglement wordt na goedkeuring door de minister bekendgemaakt in de Staatscourant. 

Artikel 37 

Dit reglement treedt in werking op de dag na zijn bekendmaking en werkt terug tot de dag waarop het 
is vastgesteld. 

Artikel 38 

Het bestuursreglement CBP zoals gepubliceerd in Staatscourant nr. 76 van 19 april 2002 en bijbeho¬ 
rende wijziging gepubliceerd in Staatscourant nr. 81, van 26 april 2006 worden ingetrokken. 

Den Haag, 25 mei 2016 

Autoriteit Persoonsgegevens, 

J. Kohnstamm, 
voorzitter 



Goedgekeurd op 6 juli 2016 

De Minister van Veiligheid en Justitie, 
G.A. van der Steur 
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